FORCE Ransomware fogságban fogja tartani a fájlokat

Kutatócsoportunk új fájlminták rutinvizsgálata során találkozott a FORCE ransomware változatával. A FORCE a Phobos ransomware családjába tartozik.

A kísérleti rendszerünkön végzett tesztelés során a FORCE sikeresen titkosította a fájlokat, majd fizetést követelt a visszafejtésükért. A titkosított fájlok nevét megváltoztatták, hogy az áldozathoz rendelt egyedi azonosítót, a kiberbűnözők e-mail címét és a ".FORCE" kiterjesztést tartalmazzák. Például egy eredetileg „1.jpg” nevű fájl „1.jpg.id[9ECFA84E-3545].[data199@mailum.com].FORCE”-ként jelenik meg.

A titkosítási folyamatot követően azonos váltságdíj-jegyzetek keletkeztek – az egyik felugró ablak ("info.hta"), a másik pedig szövegfájl ("info.txt") formájában. Ezeket az üzeneteket az asztalon helyezték el, és szétosztották az összes titkosított fájlokat tartalmazó könyvtárban.

A FORCE-hoz kapcsolódó váltságdíj-jegyzetek azt jelzik, hogy az áldozat fájljait titkosították, és bizalmas adatokat veszélyeztettek. A fájlok visszafejtéséhez váltságdíjat kell fizetni Bitcoin kriptovalutában. Ezen követelmények be nem tartása a kiszivárgott információk értékesítését eredményezné. Bármilyen fizetés előtt, az áldozatnak felajánlják a lehetőséget, hogy ingyenesen tesztelje a visszafejtési folyamatot, bár bizonyos korlátozásokkal.

Ezek az üzenetek figyelmeztetnek a titkosított fájlok módosítására vagy harmadik féltől származó helyreállítási eszközök használatára, mivel ezzel az adatok véglegesen elérhetetlenné válhatnak. Továbbá figyelmeztetik az áldozatot, hogy ha külső felektől segítséget kér, az súlyosbíthatja anyagi veszteségeit.

FORCE Ransom Note in Full

A FORCE váltságdíj teljes szövege a következő:

Your files are encrypted.

AYour data has been compromised, important data has been stolen for the next sale in case of non-payment. But you have the opportunity to return everything.
Write to e-mail: data199@mailum.com
Write this ID in the title of your message -
Or write us to the TOX messenger: F9B62A229F748C0211804208C4229133B1D395CC746C3ACBF80255D2E4484F03306DA0FE3ACB
You can download TOX messenger here hxxps://tox.chat/
Payment for decryption is accepted only in Bitcoin. After payment, I will provide you with the key and complete decryption instructions.

Free decryption as guarantee
Decryption guarantee: you can send to me any 2 files with SIMPLE extensions(jpg,txt,doc, not databases!) and low sizes(max 1 mb), i will decrypt them and send back to you. This is my guarantee.
I don't want to deceive you, I want to earn money. You pay me and continue your work. My honest name is more important than a one-time deception.

How to obtain Bitcoins
Contact me and I will give you instructions on how to purchase bitcoins.

Attention!
Do not rename encrypted files.
Do not try to decrypt your data using third party software, it may cause permanent data loss.
Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam.
The intermediary can also convince you that they can restore your data themselves without contacting us, this is not true, any recovery takes place only with my key.

Hogyan történik a Ransomware általánosan online terjesztése?

A Ransomware-t általában különféle módszerekkel terjesztik online, többek között:

Adathalász e-mailek: A hackerek megtévesztő e-maileket küldenek, amelyek rosszindulatú mellékleteket vagy linkeket tartalmaznak. Ezek az e-mailek gyakran törvényes entitásokat vagy szervezeteket adnak ki, és arra csábítják a címzetteket, hogy nyissa meg a mellékletet, vagy kattintson a hivatkozásra, amely ezután telepíti a zsarolóvírust a rendszerükre.

Rosszindulatú hirdetések: A törvényes webhelyeken megjelenő rosszindulatú hirdetések átirányíthatják a felhasználókat olyan webhelyekre, amelyek exploit kiteket tartalmaznak, amelyek viszont zsarolóprogramokat juttatnak el az áldozat eszközére a szoftverük sebezhetőségein keresztül.

Exploit Kits: Ezek előre megírt kódcsomagok, amelyek kihasználják az elavult szoftverek vagy operációs rendszerek sebezhetőségeit. Amikor a felhasználók feltört webhelyeket keresnek fel, vagy rosszindulatú hivatkozásokra kattintanak, a kizsákmányoló készletek csendben letöltik és telepítik a zsarolóprogramokat eszközeikre.

Távoli asztali protokoll (RDP) támadások: A támadók jogosulatlan hozzáférést kapnak gyenge vagy alapértelmezett RDP hitelesítési adatokkal rendelkező rendszerekhez. Miután bejutottak, közvetlenül a feltört hálózatra telepítik a zsarolóprogramokat, gyakran széleskörű károkat okozva.

Drive-by Letöltések: A rosszindulatú kódokat törvényes webhelyekre fecskendezik, aminek következtében a látogatók akaratlanul is letölthetnek zsarolóprogramot eszközeikre a webhely böngészésével.

Szoftver sebezhetőségei: A zsarolóprogramok szerzői a szoftverek vagy operációs rendszerek biztonsági réseit használják ki, hogy jogosulatlan hozzáférést szerezzenek a rendszerekhez, és a felhasználó tudta vagy beleegyezése nélkül zsarolóprogramokat telepítsenek.

Peer-to-Peer (P2P) hálózatok: A zsarolóprogramok feltört szoftvernek vagy P2P hálózatokon keresztül terjesztett kalóztartalomnak álcázhatók. A gyanútlan felhasználók letöltik és végrehajtják ezeket a fájlokat, tudtukon kívül megfertőzve rendszereiket zsarolóvírussal.